Содержание

1 Настройка fail2ban для защиты от атак

Настройка fail2ban для защиты от атак

1. Подготовка системы

Войдите в систему под учетной записью с правами root или пользователя с правами sudo.
Убедитесь, что у вас есть доступ к серверу через SSH или консоль.

2. Установка fail2ban

Обновление системы

1. Обновите систему:

sudo apt update

2. Установите fail2ban:

sudo apt install -y fail2ban

3. Проверьте версию:

fail2ban-client --version

4. Запустите и включите автозапуск:

sudo systemctl start fail2ban

sudo systemctl enable fail2ban

5. Проверьте статус:

sudo systemctl status fail2ban

3. Базовая конфигурация

Создание конфигурационного файла

1. Создайте локальный конфигурационный файл:

sudo nano /etc/fail2ban/jail.local

2. Добавьте базовую конфигурацию:

[DEFAULT]
\# Игнорировать IP адреса
ignoreip = 127.0.0.1/8 ::1 192.168.1.0/24

\# Время блокировки в секундах
bantime = 3600

\# Время поиска в секундах
findtime = 600

\# Максимальное количество попыток
maxretry = 3

\# Backend для поиска в логах
backend = systemd

\# Email уведомления
destemail = admin@example.com
sender = fail2ban@example.com
action = %(action_mwl)s

Настройка email уведомлений

1. Установите почтовый клиент:

sudo apt install -y mailutils

2. Настройте почту:

sudo nano /etc/fail2ban/action.d/sendmail-common.conf

3. Добавьте настройки:

[Definition]
actionstart = printf %%b "Hi,\n
              The jail <name> has been started successfully.\n
              Regards,\n
              Fail2Ban" | /usr/bin/mail -s "[Fail2Ban] <name>: started on <fq-hostname>" <dest>

actionstop = printf %%b "Hi,\n
             The jail <name> has been stopped.\n
             Regards,\n
             Fail2Ban" | /usr/bin/mail -s "[Fail2Ban] <name>: stopped on <fq-hostname>" <dest>

actioncheck =

actionban = printf %%b "Hi,\n
            The IP <ip> has just been banned by Fail2Ban after
            <failures> attempts against <name>.\n
            Regards,\n
            Fail2Ban" | /usr/bin/mail -s "[Fail2Ban] <name>: banned <ip> from <fq-hostname>" <dest>

actionunban = printf %%b "Hi,\n
              The IP <ip> has been unbanned by Fail2Ban from <name>.\n
              Regards,\n
              Fail2Ban" | /usr/bin/mail -s "[Fail2Ban] <name>: unbanned <ip> from <fq-hostname>" <dest>

4. Настройка защиты SSH

Базовая защита SSH

1. Добавьте в jail.local:

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600
findtime = 600

Расширенная защита SSH

1. Создайте фильтр для SSH:

sudo nano /etc/fail2ban/filter.d/sshd.conf

2. Добавьте правила:

[Definition]
failregex = ^%(__prefix_line)s(?:error: PAM: )?[aA]uthentication (?:failure|error) for .* from <HOST>(?: port \d*)?(?: ssh\d*)?(?: on \S+)?\s*$
            ^%(__prefix_line)s(?:error: PAM: )?User not known to the underlying authentication module for .* from <HOST>\s*$
            ^%(__prefix_line)sFailed \w+ for .* from <HOST>(?: port \d*)?(?: ssh\d*)?(?: on \S+)?\s*$
            ^%(__prefix_line)sROOT LOGIN REFUSED.* from <HOST>\s*$
            ^%(__prefix_line)s[iI](?:llegal|nvalid) user .* from <HOST>\s*$
            ^%(__prefix_line)sUser .* from <HOST> not allowed because not listed in AllowUsers\s*$
            ^%(__prefix_line)sauthentication failure; logname=\S* uid=\S* euid=\S* tty=\S* ruser=\S* rhost=<HOST>(?:\s+user=.*)?\s*$
            ^%(__prefix_line)srefused connect from <HOST>\s*$
            ^%(__prefix_line)sAddress <HOST> .* POSSIBLE BREAK-IN ATTEMPT!\s*$

ignoreregex =

3. Настройте jail для SSH:

[sshd-ddos]
enabled = true
port = ssh
filter = sshd-ddos
logpath = /var/log/auth.log
maxretry = 6
bantime = 3600
findtime = 600

5. Защита веб-серверов

Защита Apache

1. Создайте фильтр для Apache:

sudo nano /etc/fail2ban/filter.d/apache-auth.conf

2. Добавьте правила:

[Definition]
failregex = ^<HOST> -.*"(GET|POST).*HTTP.*" (401|403) .*$
            ^<HOST> -.*"(GET|POST).*HTTP.*" (400|404|500) .*$
            ^<HOST> -.*"GET.*HTTP.*" (200|301|302) .*".*".*$

ignoreregex =

3. Настройте jail для Apache:

[apache-auth]
enabled = true
port = http,https
filter = apache-auth
logpath = /var/log/apache2/*error.log
maxretry = 3
bantime = 3600
findtime = 600

[apache-noscript]
enabled = true
port = http,https
filter = apache-noscript
logpath = /var/log/apache2/*access.log
maxretry = 3
bantime = 3600
findtime = 600

[apache-overflows]
enabled = true
port = http,https
filter = apache-overflows
logpath = /var/log/apache2/*error.log
maxretry = 3
bantime = 3600
findtime = 600

Защита Nginx

1. Создайте фильтр для Nginx:

sudo nano /etc/fail2ban/filter.d/nginx-http-auth.conf

2. Добавьте правила:

[Definition]
failregex = ^<HOST> -.*"(GET|POST).*HTTP.*" (401|403) .*$
            ^<HOST> -.*"(GET|POST).*HTTP.*" (400|404|500) .*$

ignoreregex =

3. Настройте jail для Nginx:

[nginx-http-auth]
enabled = true
port = http,https
filter = nginx-http-auth
logpath = /var/log/nginx/error.log
maxretry = 3
bantime = 3600
findtime = 600

[nginx-limit-req]
enabled = true
port = http,https
filter = nginx-limit-req
logpath = /var/log/nginx/error.log
maxretry = 3
bantime = 3600
findtime = 600

6. Защита баз данных

Защита MySQL

1. Создайте фильтр для MySQL:

sudo nano /etc/fail2ban/filter.d/mysql-auth.conf

2. Добавьте правила:

[Definition]
failregex = ^.*\[Warning\].*Access denied for user '.*'@'<HOST>'.*$
            ^.*\[Warning\].*Access denied for user '.*'@'<HOST>'.*$
            ^.*\[Warning\].*Access denied for user '.*'@'<HOST>'.*$

ignoreregex =

3. Настройте jail для MySQL:

[mysql-auth]
enabled = true
port = 3306
filter = mysql-auth
logpath = /var/log/mysql/error.log
maxretry = 3
bantime = 3600
findtime = 600

Защита PostgreSQL

1. Создайте фильтр для PostgreSQL:

sudo nano /etc/fail2ban/filter.d/postgresql.conf

2. Добавьте правила:

[Definition]
failregex = ^.*FATAL:  password authentication failed for user ".*" from <HOST>.*$
            ^.*FATAL:  no pg_hba.conf entry for host "<HOST>", user ".*", database ".*", SSL off.*$

ignoreregex =

3. Настройте jail для PostgreSQL:

[postgresql]
enabled = true
port = 5432
filter = postgresql
logpath = /var/log/postgresql/postgresql-*.log
maxretry = 3
bantime = 3600
findtime = 600

7. Защита почтовых серверов

Защита Postfix

1. Создайте фильтр для Postfix:

sudo nano /etc/fail2ban/filter.d/postfix.conf

2. Добавьте правила:

[Definition]
failregex = ^.*HOST=<HOST>.*REJECT.*$
            ^.*HOST=<HOST>.*REJECT.*$
            ^.*HOST=<HOST>.*REJECT.*$

ignoreregex =

3. Настройте jail для Postfix:

[postfix]
enabled = true
port = smtp,465,submission
filter = postfix
logpath = /var/log/mail.log
maxretry = 3
bantime = 3600
findtime = 600

Защита Dovecot

1. Создайте фильтр для Dovecot:

sudo nano /etc/fail2ban/filter.d/dovecot.conf

2. Добавьте правила:

[Definition]
failregex = ^.*authentication failure.*rip=<HOST>.*$
            ^.*Login attempt.*rip=<HOST>.*$

ignoreregex =

3. Настройте jail для Dovecot:

[dovecot]
enabled = true
port = pop3,pop3s,imap,imaps,submission,465,sieve
filter = dovecot
logpath = /var/log/mail.log
maxretry = 3
bantime = 3600
findtime = 600

8. Продвинутые настройки

Настройка whitelist

1. Добавьте в jail.local:

[DEFAULT]
ignoreip = 127.0.0.1/8 ::1 192.168.1.0/24 10.0.0.0/8

2. Создайте файл whitelist:

sudo nano /etc/fail2ban/ignoreip.local

3. Добавьте IP адреса:

\# Доверенные IP адреса
192.168.1.100
192.168.1.101
10.0.0.50

Настройка blacklist

1. Создайте файл blacklist:

sudo nano /etc/fail2ban/blacklist.local

2. Добавьте IP адреса:

\# Заблокированные IP адреса
192.168.1.200
192.168.1.201

3. Настройте jail для blacklist:

[blacklist]
enabled = true
port = ssh,http,https
filter = blacklist
logpath = /var/log/fail2ban.log
maxretry = 1
bantime = -1
findtime = 1

Настройка кастомных фильтров

1. Создайте кастомный фильтр:

sudo nano /etc/fail2ban/filter.d/custom.conf

2. Добавьте правила:

[Definition]
failregex = ^.*<HOST>.*FAILED.*$
            ^.*<HOST>.*ERROR.*$
            ^.*<HOST>.*DENIED.*$

ignoreregex =

3. Настройте jail для кастомного фильтра:

[custom]
enabled = true
port = ssh,http,https
filter = custom
logpath = /var/log/custom.log
maxretry = 3
bantime = 3600
findtime = 600

9. Мониторинг и управление

Просмотр статуса

1. Просмотр активных jail:

sudo fail2ban-client status

2. Просмотр статуса конкретного jail:

sudo fail2ban-client status sshd

3. Просмотр заблокированных IP:

sudo fail2ban-client status sshd

Управление jail

1. Запуск jail:

sudo fail2ban-client start sshd

2. Остановка jail:

sudo fail2ban-client stop sshd

3. Перезапуск jail:

sudo fail2ban-client restart sshd

4. Перезагрузка конфигурации:

sudo fail2ban-client reload

Управление IP адресами

1. Разблокировка IP:

sudo fail2ban-client set sshd unbanip 192.168.1.100

2. Блокировка IP:

sudo fail2ban-client set sshd banip 192.168.1.100

3. Просмотр заблокированных IP:

sudo fail2ban-client get sshd banned

10. Настройка логирования

Настройка логов fail2ban

1. Настройте логирование:

sudo nano /etc/fail2ban/fail2ban.conf

2. Измените параметры:

loglevel = INFO
logtarget = /var/log/fail2ban.log

3. Настройте ротацию логов:

sudo nano /etc/logrotate.d/fail2ban

4. Добавьте конфигурацию:

/var/log/fail2ban.log {
    daily
    missingok
    rotate 52
    compress
    delaycompress
    notifempty
    create 644 root root
    postrotate
        systemctl reload fail2ban
    endscript
}

Создание скрипта мониторинга

1. Создайте скрипт мониторинга:

sudo nano /usr/local/bin/fail2ban-monitor.sh

2. Добавьте содержимое:

\#!/bin/bash

\# Проверка статуса fail2ban
if ! systemctl is-active --quiet fail2ban; then
    echo "Fail2ban is down!" | mail -s "Fail2ban Alert" admin@example.com
fi

\# Проверка количества заблокированных IP
BLOCKED_COUNT=$(sudo fail2ban-client status sshd | grep "Currently banned:" | awk '{print $4}')
if [ $BLOCKED_COUNT -gt 10 ]; then
    echo "High number of blocked IPs: $BLOCKED_COUNT" | mail -s "Fail2ban Alert" admin@example.com
fi

\# Проверка логов на ошибки
ERROR_COUNT=$(grep -c "ERROR" /var/log/fail2ban.log 2>/dev/null || echo 0)
if [ $ERROR_COUNT -gt 5 ]; then
    echo "Fail2ban errors detected: $ERROR_COUNT" | mail -s "Fail2ban Alert" admin@example.com
fi

3. Сделайте скрипт исполняемым:

sudo chmod +x /usr/local/bin/fail2ban-monitor.sh

4. Добавьте в crontab:

sudo crontab -e

5. Добавьте задачу:

*/5 * * * * /usr/local/bin/fail2ban-monitor.sh

11. Настройка уведомлений

Настройка Slack уведомлений

1. Создайте Slack webhook:

sudo nano /etc/fail2ban/action.d/slack.conf

2. Добавьте конфигурацию:

[Definition]
actionstart = curl -X POST -H 'Content-type: application/json' --data '{"text":"Fail2ban jail <name> started on <fq-hostname>"}' <slack_webhook_url>

actionstop = curl -X POST -H 'Content-type: application/json' --data '{"text":"Fail2ban jail <name> stopped on <fq-hostname>"}' <slack_webhook_url>

actioncheck =

actionban = curl -X POST -H 'Content-type: application/json' --data '{"text":"IP <ip> banned by Fail2ban after <failures> attempts against <name>"}' <slack_webhook_url>

actionunban = curl -X POST -H 'Content-type: application/json' --data '{"text":"IP <ip> unbanned by Fail2ban from <name>"}' <slack_webhook_url>

3. Настройте jail с Slack уведомлениями:

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600
findtime = 600
action = slack

Настройка Telegram уведомлений

1. Создайте Telegram бота и получите токен 2. Создайте конфигурацию:

sudo nano /etc/fail2ban/action.d/telegram.conf

3. Добавьте настройки:

[Definition]
actionstart = curl -s -X POST "https://api.telegram.org/bot<bot_token>/sendMessage" -d chat_id=<chat_id> -d text="Fail2ban jail <name> started on <fq-hostname>"

actionstop = curl -s -X POST "https://api.telegram.org/bot<bot_token>/sendMessage" -d chat_id=<chat_id> -d text="Fail2ban jail <name> stopped on <fq-hostname>"

actioncheck =

actionban = curl -s -X POST "https://api.telegram.org/bot<bot_token>/sendMessage" -d chat_id=<chat_id> -d text="IP <ip> banned by Fail2ban after <failures> attempts against <name>"

actionunban = curl -s -X POST "https://api.telegram.org/bot<bot_token>/sendMessage" -d chat_id=<chat_id> -d text="IP <ip> unbanned by Fail2ban from <name>"

12. Устранение неполадок

Частые проблемы

1. Fail2ban не запускается:

Проверьте конфигурацию:
```
sudo fail2ban-client -t
```
Проверьте логи:
```
sudo journalctl -u fail2ban
```
Проверьте права доступа к файлам

2. Jail не работает:

Проверьте фильтры:

sudo fail2ban-regex /var/log/auth.log /etc/fail2ban/filter.d/sshd.conf

Проверьте пути к логам
Проверьте права доступа к логам

3. Ложные срабатывания:

Настройте whitelist
Измените параметры maxretry и findtime
Проверьте фильтры

Диагностика

1. Проверка статуса:

sudo systemctl status fail2ban

2. Проверка конфигурации:

sudo fail2ban-client -t

3. Тестирование фильтров:

sudo fail2ban-regex /var/log/auth.log /etc/fail2ban/filter.d/sshd.conf

4. Проверка логов:

sudo tail -f /var/log/fail2ban.log

5. Проверка iptables:

sudo iptables -L -n

Заключение

Fail2ban успешно настроен и готов к работе! Теперь у вас есть мощная защита от атак с возможностями мониторинга, уведомлений и гибкой настройки.

Для размещения ваших защищенных серверов на надежном хостинге рекомендуем воспользоваться услугами [ARK-HOSTER.RU](https://ark-hoster.ru):

[Выделенные серверы](https://ark-hoster.ru/dedicated/) - для критически важных серверов с повышенной защитой
[VPS/VDS серверы](https://ark-hoster.ru/vpsgame/) - для небольших и средних проектов

Наши специалисты помогут с настройкой fail2ban и обеспечением безопасности ваших серверов!

Настройка fail2ban для защиты от атак

Содержание

Настройка fail2ban для защиты от атак

1. Подготовка системы

2. Установка fail2ban

Обновление системы

3. Базовая конфигурация

Создание конфигурационного файла

Настройка email уведомлений

4. Настройка защиты SSH

Базовая защита SSH

Расширенная защита SSH

5. Защита веб-серверов

Защита Apache

Защита Nginx

6. Защита баз данных

Защита MySQL

Защита PostgreSQL

7. Защита почтовых серверов

Защита Postfix

Защита Dovecot

8. Продвинутые настройки

Настройка whitelist

Настройка blacklist

Настройка кастомных фильтров

9. Мониторинг и управление

Просмотр статуса

Управление jail

Управление IP адресами

10. Настройка логирования

Настройка логов fail2ban

Создание скрипта мониторинга

11. Настройка уведомлений

Настройка Slack уведомлений

Настройка Telegram уведомлений

12. Устранение неполадок

Частые проблемы

Диагностика

Заключение

Навигация

Поиск